Trusted DesignCVE-2021-20123 の詳細
CVEの情報
説明:
A local file inclusion vulnerability exists in Draytek VigorConnect 1.6.0-B3 in the file download functionality of the DownloadFileServlet endpoint. An unauthenticated attacker could leverage this vulnerability to download arbitrary files from the underlying operating system with root privileges.
CVE更新日: 2021-10-13 16:15:07.350000
CVSSバージョン: 3.1
CVSSスコア: 7.5
KEVの情報
KEV更新日: 2024-09-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.902340000
EPSS更新日: 2026-10-19 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2021-20123について、以下の観点から解説します。
1. 脆弱性の概要
Draytek VigorConnect 1.6.0-B3 の
DownloadFileServletエンドポイントのファイルダウンロード機能にローカルファイルインクルージョン (LFI) の脆弱性が存在します。認証されていない攻撃者はこの脆弱性を悪用し、基盤となるオペレーティングシステムから任意のファイルをroot権限でダウンロードする可能性があります。1.1 影響
認証されていない攻撃者が、基盤となるオペレーティングシステムからroot権限で任意のファイルをダウンロードできる可能性があります。 これにより、機密情報の漏えいやシステムへのさらなる侵害につながる可能性があります。
1.2 深刻度
2. 対象となる環境
2.1 影響を受けるOSバージョン
Draytek VigorConnectアプリケーションに存在する脆弱性であり、特定のOSバージョンが直接影響を受けるわけではありません。脆弱なアプリケーションが稼働している基盤となるオペレーティングシステムからファイルがダウンロードされる可能性があります。 なお、Ubuntuは本CVEの影響を受ける保守対象リリースはないと明記しています。
2.2 影響を受ける設定
Draytek VigorConnect 1.6.0-B3の
DownloadFileServletエンドポイントにおけるファイルダウンロード機能に脆弱性が存在します。 特定の設定変更によって脆弱性が緩和されるといった情報は提供されていません。3. 影響を受けた時の兆候
この脆弱性に関する具体的な兆候（例：特定のエラーメッセージやシステムログ）についての情報は公開されていません。しかし、攻撃が成功した場合は、不正なファイルアクセスやデータ流出の痕跡が残る可能性があります。不明。
4. 推奨対策
4.1 本対策
ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止してください。 影響を受けるDraytek VigorConnectのバージョンを修正済みのバージョンにアップデートすることが根本的な対策となります。
4.2 暫定回避策（緩和策）
本脆弱性に特化した暫定回避策に関する具体的な情報は公開されていません。不明。
参照したサイト